Apple vá iOS 26.7.2: doanh nghiệp cần rà quyền riêng tư trên iPhone, iPad

Bản vá mới cần đưa vào lịch quản lý thiết bị

Apple công bố nội dung bảo mật của iOS 26.7.2 và iPadOS 26.7.2 ngày 26/10/2026. Doanh nghiệp còn vận hành nhánh 26 nên rà thiết bị, lên lịch cập nhật và kiểm tra lại ứng dụng công việc. Các lỗi được mô tả có thể ảnh hưởng quyền riêng tư hoặc bộ nhớ; không nên hiểu đây chỉ là bản sửa giao diện.

Bản tin này được biên tập ngày 27/10. Tại thời điểm đối chiếu, advisory không nêu xác nhận các lỗi dưới đây đang bị khai thác thực tế. Có mã CVE là có hồ sơ nhận diện lỗ hổng, chưa phải bằng chứng điện thoại đã bị xâm nhập. Apple cũng không đưa điểm CVSS cho từng mục trong trang này.

Những tình huống ảnh hưởng khác nhau

CVE-2026-84493 trong AccessorySetupKit liên quan ứng dụng độc hại có thể truy cập Bluetooth mà chưa có sự đồng ý của người dùng. CVE-2026-113898 ở Accounts liên quan khả năng vượt tùy chọn quyền riêng tư. Đây là các tình huống có ứng dụng trên thiết bị; không nên diễn giải thành chỉ cần bật Bluetooth là mọi máy đều bị chiếm quyền.

Một lỗi Accounts khác, CVE-2026-112612, cần kẻ tấn công có quyền tiếp cận vật lý thiết bị đã thiết lập quan hệ tin cậy, với hậu quả có thể đọc và ghi tệp tùy ý. Điều kiện này khác với tấn công chỉ qua internet. Với điện thoại dùng chung hoặc máy thường kết nối trạm làm việc, doanh nghiệp cần quản lý cả người giữ thiết bị lẫn máy được tin cậy.

Ở Kernel, CVE-2026-84495 có thể cho ứng dụng làm hệ thống dừng bất thường hoặc ghi vào bộ nhớ kernel. Kernel là phần lõi điều hành thiết bị, nên lỗi ở đây có hậu quả khác một ứng dụng tự đóng. Tuy nhiên, không đủ căn cứ từ mô tả ngắn để gộp tất cả CVE thành một chuỗi tấn công đã được chứng minh.

Đối chiếu thế hệ máy, không chỉ tên hệ điều hành

Advisory liệt kê iPhone 11 trở lên; iPad Pro 12,9 inch từ thế hệ 3, iPad Pro 11 inch từ thế hệ đầu, iPad Air từ thế hệ 3, iPad từ thế hệ 8 và iPad mini từ thế hệ 5. Đây là danh sách cần đối chiếu với đội thiết bị thuộc nhánh cập nhật này, không phải lời khẳng định mọi tính năng trong advisory đều tồn tại trên mọi máy.

Nếu thiết bị đang ở nhánh hệ điều hành khác, kiểm tra bản phát hành bảo mật tương ứng và lựa chọn mà Apple thực sự cung cấp cho máy đó. Không hạ hệ điều hành để chạy theo số phiên bản trong bài. Bộ phận IT nên lưu model, nhánh đang chạy, người phụ trách và tình trạng bản vá; một danh sách chỉ ghi “iPhone công ty” sẽ khó xác định máy còn thiếu.

Cập nhật và giảm rủi ro trong lúc chờ

Sao lưu theo chính sách của tổ chức, bảo đảm nguồn điện và kết nối phù hợp, rồi kiểm tra Settings → General → Software Update. Với thiết bị do doanh nghiệp quản lý, dùng quy trình triển khai đã được phê duyệt; thử trước trên một nhóm có ứng dụng đăng nhập, camera, phụ kiện Bluetooth và phần mềm nghiệp vụ đại diện.

Trong lúc chờ, Friday Works khuyến nghị hạn chế cài ứng dụng ngoài danh sách cho phép, kiểm soát việc giao máy dùng chung và kết nối với máy tính chưa được quản lý. Đây là cách giảm bề mặt tiếp cận, không thay thế bản vá và không chứng minh đã chặn mọi lỗi. Không tắt các cơ chế bảo vệ để làm bản cập nhật hiện ra.

Nếu bản vá chưa xuất hiện, kiểm tra model, dung lượng, kết nối VPN/proxy và cấu hình trì hoãn cập nhật của tổ chức. Giữ nguyên thông báo lỗi để đội quản trị xử lý; tránh tải một tệp hệ điều hành từ nguồn không rõ chỉ vì tên tệp chứa 26.7.2.

Hoàn tất khi đã kiểm tra sau khởi động lại

Sau cài đặt, mở lại thông tin phiên bản hoặc truy vấn từ hệ thống quản lý thiết bị, xác nhận phiên bản đích đã được áp dụng trên đúng máy. “Đã gửi lệnh cập nhật” và “đã tải về” chưa tương đương “đã cài”. Lưu thời điểm kiểm tra, nhóm thử và các máy chưa hoàn thành.

Cuối cùng, thử lại các tác vụ công việc bình thường và ghi nhận sự cố tương thích riêng với dấu hiệu bảo mật. Một ứng dụng lỗi sau cập nhật không tự chứng minh có tấn công. Nếu đã có dấu hiệu truy cập dữ liệu bất thường trước đó, giữ nhật ký và xử lý theo quy trình ứng phó của doanh nghiệp; cài bản vá không thay thế điều tra.